핵심 요약: 과학기술정보통신부와 개인정보보호위원회는 ISMS·ISMS-P 인증 제도를 전면 보강하기로 6일 확정했다. 쿠팡 등 인증 기업에서 잇따른 해킹·대규모 정보 유출이 발생하자 공공·대형 플랫폼 중심으로 ISMS-P 적용을 사실상 의무화하고 심사 방식을 현장 실증형으로 전환한다. 사후관리 강화와 위반 시 인증 취소 가능성 확대 등 실효성 확보 조치가 포함된다.
핵심 사실
- 주최: 과학기술정보통신부(과기정통부)와 개인정보보호위원회(개보위)가 6일 관계부처 대책회의에서 인증 제도 강화 방안을 확정했다.
- 의무화 범위: ISMS-P는 공공 시스템, 통신사, 대형 온라인 플랫폼 등 국민 파급력이 큰 개인정보 처리시스템에 대해 사실상 의무화된다.
- 대상 기업: 통신사·대형 플랫폼 등 이용자 규모가 큰 기업에는 별도 강화된 인증 기준을 적용하기로 했다.
- 심사 방식 변경: 예비 심사에서 핵심 항목을 우선 검증하고, 본심사는 코어 시스템 중심의 현장 실증형 심사로 전환한다.
- 사후관리 강화: 유출 사고 발생 시 즉시 특별 사후심사를 시행하고, 중대한 결함이 확인되면 인증위원회 심의를 통해 인증을 취소할 수 있다.
- 추가 투입: 사고기업 심사에는 기존 대비 2배 규모의 심사 인력과 심사 기간을 투입해 원인 규명과 재발 방지 조치를 집중 점검한다.
- 긴급 점검: 과기정통부는 10월 발표한 정보보호 종합대책의 후속으로 약 900개 ISMS 인증기업에 대해 인터넷 접점 취약점 긴급 자체 점검을 요청했다.
- 시행 일정: 정부는 기업 점검 결과를 토대로 내년 초 현장 검증을 시작하고, 관련 고시를 내년 1분기 중 개정해 단계적으로 시행할 계획이다.
사건 배경
최근 들어 인증을 받은 기업에서도 대규모 개인정보 유출과 해킹 사고가 반복적으로 발생하면서 기존 인증 제도의 실효성 논란이 커졌다. 인증은 형식적 심사와 서류 중심 평가에 그쳤다는 비판이 제기됐고, 오히려 인증 보유 여부가 보안 수준을 담보하지 못한다는 지적이 많았다. 특히 온라인 플랫폼과 통신사처럼 다수 사용자의 개인정보를 다루는 기업에서 사고가 발생하면 사회적 파장이 크고, 피해 회복 비용과 신뢰 손실이 막대하다. 이 같은 문제 인식은 과기정통부와 개보위가 공동으로 제도 전반을 재검토하는 배경이 됐다.
국내에서는 그간 ISMS와 ISMS-P가 주로 자율적 신청 기반의 인증제도로 운영돼 왔다. 기업들은 시장 요구나 내부 정책에 따라 선택적으로 인증을 취득했으며, 일부 기업은 인증 유지·갱신 과정에서 표본 중심 심사만을 거치기도 했다. 반면 해외 주요국은 규제·감독을 통해 주요 인프라·플랫폼의 보안 의무를 강화하는 추세다. 이런 국제적 흐름과 내부 사고 사례는 정부가 인증 제도를 강화하도록 압박하는 요소로 작용했다.
주요 사건 전개
6일 열린 대책 회의에는 개보위 위원장, 과기정통부 제2차관, 한국인터넷진흥원(KISA) 원장 등이 참석해 인증 전 과정 강화를 의결했다. 회의에서 정부는 인증의 임의적 성격을 줄이고 공공·민간 핵심 시스템에 대해 의무적 인증 도입을 추진하기로 합의했다. 이를 위해 개인정보보호법 및 정보통신망법 개정이 필요하다는 입장을 재확인했다.
심사 절차는 단계적으로 손질된다. 예비 심사에서 핵심(핵심 항목) 요건을 먼저 확인하고, 이를 충족하지 못하면 본심사로 진행하지 못하도록 절차를 바꾼다. 본심사에서는 기존의 서면 위주·샘플링 방식을 축소하고 코어 시스템에 대한 현장 실증형 점검 비중을 크게 늘린다. 심사원 역량 제고를 위해 AI 등 신기술에 대한 교육도 확대한다는 방침이다.
사후관리도 강화된다. 인증기업에서 유출 사고가 발생하면 즉시 특별 사후심사를 실시하고, 중대한 결함이 발견되면 인증위원회의 심의를 거쳐 인증을 취소할 수 있다. 정부는 사고 기업에 대해 기존보다 2배의 심사 인력과 기간을 투입해 사고 원인과 재발 방지 조치를 집중 점검할 예정이다. 개보위는 이달부터 유출 사고 기업에 대한 현장점검을 시작한다.
분석 및 의미
이번 제도 개편은 인증 제도가 형식적 통과 기준을 넘어 실질적 보안 수준을 확보하도록 설계됐다는 점에서 의미가 있다. 예비 심사에서 코어 요건을 선검증하고, 본심사에서 현장 실증을 확대하는 방식은 문서화된 정책과 실제 운영 사이의 괴리를 좁히는 효과가 예상된다. 다만 심사 역량·인력의 확보와 심사 기관의 독립성 보장 등 운영상 과제가 남아 있다.
법·제도 개편이 병행되지 않으면 현재의 강화 조치가 행정 지침 수준에 머무를 가능성도 존재한다. 정부가 개인정보보호법·정보통신망법 개정을 추진한다고 밝혔지만, 입법 과정에서 범위·의무화 수준이 조정될 수 있다. 특히 통신사·대형 플랫폼에 대한 별도 기준 마련은 업계의 저항과 조율을 불가피하게 만들 것이다.
경제적 측면에서도 보안 수준 강화를 위한 비용 증가가 불가피하다. 대형 플랫폼이나 통신사는 보안 설비 강화, 인력 충원, 외부 심사 대응 등에서 상당한 비용을 부담해야 한다. 그러나 장기적으로 보면 사고 발생에 따른 피해 비용과 신뢰 저하를 줄일 수 있어 사회적 비용을 낮출 수 있다는 반론도 있다.
비교 및 데이터
| 항목 | 기존(ISMS/ISMS-P) | 개선안(정부 확정) |
|---|---|---|
| 적용 범위 | 자율 신청 중심 | 공공·통신사·대형 플랫폼 등 사실상 의무화 |
| 심사 방식 | 서면·샘플링 중심 | 예비 핵심 검증·코어 시스템 현장 실증형 |
| 사후관리 | 정기점검 중심 | 사고 시 즉시 특별 사후심사·인증 취소 가능 |
| 심사 자원 | 기존 수준 | 사고기업 심사에 심사 인력·기간 2배 투입 |
위 표는 정부가 공개한 주요 변경 방향을 요약한 것이다. 표는 제도 취지와 운영 측면의 차이를 명확히 보여주며, 특히 ‘의무화 범위 확대’와 ‘현장 실증형 심사 강화’가 핵심 축임을 확인할 수 있다. 정부는 약 900개 ISMS 인증기업에 대한 긴급 자체 점검 결과를 바탕으로 내년 초부터 현장 검증을 시작할 계획이다.
반응 및 인용
“인증의 형식성을 없애고 실효적인 보호 체계로 전환하겠다.”
개인정보보호위원회 위원장
개보위 측은 인증이 단순한 형식적 점검을 넘어서 실제 운영 수준을 확보하는 방향으로 바뀌어야 한다고 설명했다. 특히 유출 사고가 발생한 기업에 대한 즉각적 사후 검증과 인증 취소 가능성은 경고 효과가 크다고 덧붙였다.
“예비 심사에서 핵심 항목을 통과하지 못하면 본심사로 넘어갈 수 없도록 절차를 강화하겠다.”
과학기술정보통신부 제2차관
과기정통부는 심사 절차 개편을 통해 초기 단계에서 위험을 차단하겠다는 입장이다. 현장 실증형 심사 확대와 심사원 전문성 강화 계획은 실무 이행력 제고를 목표로 한다고 설명했다.
“기업도 보안 투자를 확대해야 하며, 정부는 법·제도 정비로 이를 뒷받침하겠다.”
한국인터넷진흥원(KISA) 원장
KISA는 기업의 자발적 보안 강화와 함께 감독·검증 체계를 강화해 사고 재발을 줄이겠다고 밝혔다. KISA는 또한 심사원 교육 확대 계획을 구체화하겠다고 했다.
불확실한 부분
- 법 개정 범위와 시점: 개인정보보호법·정보통신망법 개정안의 최종 입법 내용과 시행 시점은 아직 확정되지 않았다.
- 대상 기업의 세부 기준: ‘대형 플랫폼’·‘대규모 이용자 보유 기업’의 구체적 정의와 적용 기준은 추가 논의가 필요하다.
- 심사 인력 확충 계획의 실행 가능성: 심사원 양성과 전문성 확보에 소요되는 시간과 비용은 아직 명확하지 않다.
총평
정부의 인증 제도 강화는 인증의 형식성을 줄이고 실제 보안 수준을 높이려는 의도로 해석할 수 있다. 예비 핵심 검증 도입, 현장 실증형 심사 확대, 사고 시 즉시 특별 점검과 인증 취소 조치는 실효성 강화를 목표로 한다. 다만 법제도 정비와 심사 인력·역량 확보, 업계 협의 과정에서의 조정이 필요하며, 이 과정에서 정책의 강도가 완화될 가능성도 존재한다.
향후 관건은 개정 법안의 입법 통과 시점과 정부의 집행 의지, 그리고 기업들의 실질적 투자 의지다. 정부의 계획대로 내년 초 현장 검증이 시작되고 내년 1분기 고시 개정이 이뤄진다면 인증 체계의 변화는 빠르게 가시화될 것이다. 독자는 업계 대응과 법 개정 흐름을 주시할 필요가 있다.